APP安全之刷脸一处鸡肋无权限xss可操控27w用户总交易金额22亿(大量持身份证照片)-脸谱-小龙-XSS平台 

漏洞概要

缺陷编号: 2016-197959

漏洞标题: APP安全之刷脸一处鸡肋无权限xss可操控27w用户总交易金额22亿(大量持身份证照片)

相关厂商: o2osl.com

漏洞作者: 小龙

提交时间: 2016-04-21 19:39

公开时间: 2016-06-05 19:50

漏洞类型: XSS 跨站脚本攻击

危害等级: 高

自评Rank: 20

漏洞状态: 厂商已经确认

漏洞来源: [email protected]

Tags标签: 持久型xss 存储型xss XSS


漏洞详情

披露状态:

2016-04-21: 细节已通知厂商并且等待厂商处理中
2016-04-21: 厂商已经确认,细节仅向厂商公开
2016-05-01: 细节向核心白帽子及相关领域专家公开
2016-05-11: 细节向普通白帽子公开
2016-05-21: 细节向实习白帽子公开
2016-06-05: 细节向公众公开

简要描述:

浙江脸谱科技有限公司简称脸谱中国FACE CHINA,致力于为全国1000万老板构建一个专属于自己阶层交往和生意的圈子,打造生意人交往与生意的平台。通过平台,构建专属于自己的客户圈层经营,让企业从单纯的“卖产品赚差价”升级到“经营客群赚价值”,革新企业商业模式架构,建立圈层经营平台,实现企业可持续发展,帮助企业老板强大自己。

浙江脸谱科技有限公司
成立时间2014-05-28所在地中国杭州注册资本5800万元人民币法定代表人郑建武企业类型有限责任公司组织机构代码399628106经营范围
服务:计算机软硬件、电器、生物技术的技术开发、技术服务,企业管理咨询,企业形象策划,会务服务,展览展示,经济信息咨询,投资咨询(除证券、期货);...展开

详细说明:

http://www.o2osl.com/OWebsite/product.html



APP



刷脸的反馈建议



code 区域
toplocation : http://mcenter.o2osl.com:8888/home/Backstage/homePage
cookie : PHPSESSID=2sf59pm33lda90o6838bss3ch4





进去后发现权限不大

1.jpg





每个功能都没权限



最后在意见反馈哪里有权限看。传输了参数id



2.jpg





有注入



wgj_s4数据库统计下数量。好多



5.jpg





code 区域
Database: wgj_s4
Table: c_user
[31 entries]
+-------------------+-------+
| password | name |
+-------------------+-------+
| superadmino2osl | 超级管理员 |





admin 密码 superadmino2osl 错误



usperadmin superadmino2osl 正确











5.jpg









27w用户



6.jpg









1万交易记录





7.jpg











2万认证纪录





8.jpg











9.jpg







53万订单记录



总金额22亿



10.jpg









27万



11.jpg







8万理财用户



12.jpg





漏洞证明:

11

修复方案:

11

版权声明:转载请注明来源 乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2016-04-21 19:42

厂商回复:

感谢报告此漏洞,该漏洞确实会引发比较高的安全事件

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2016-04-22 01:31 | Freebug ( 普通白帽子 | Rank:110 漏洞数:13 | 流氓是一种高尚的职业!)
    0

    吊炸天,前排火速留名。

    1# 回复此人
  2. 2016-06-05 21:10 | 欧尼酱 ( 路人 | Rank:15 漏洞数:7 | 技术马马虎虎)
    0

    厂商回复:已报警!

    2# 回复此人
  3. 2016-06-05 23:08 | SREAUDIO ( 实习白帽子 | Rank:42 漏洞数:11 | 努力学习,磨练技术)
    0

    求教这个洞如何利用了鸡肋XSS

    3# 回复此人
  4. 2016-06-06 08:27 | 人丑嘴不甜 ( 实习白帽子 | Rank:33 漏洞数:10 | 小菜鸟 妄想成为大大的大牛)
    0

    我想问TP为啥有注入?难道没用TP的sql api?

    4# 回复此人